Wie KI-Verordnung und Datenschutz Arbeitnehmer:innen schützen

Ein Bewerbungsgespräch, das von einer Software ausgewertet wird. Ein Algorithmus, der Schichtpläne erstellt und Fehlzeiten analysiert. All das ist keine ferne Zukunft, sondern passiert heute – in Logistikzentren, Callcentern, Büros und Krankenhäusern.

Die Digitalisierung hat den modernen Arbeitsplatz revolutioniert. Die Integration digitaler Werkzeuge und Systeme ermöglicht es, eine noch nie dagewesene Menge an Informationen über „Nutzer:innen“ und damit über Arbeitnehmer:innen zu generieren. Jede Tätigkeit und jeder Schritt, ob in der Fabrik oder im Büro, im Einzelhandel oder im Gastgewerbe, hinterlässt einen digitalen Fußabdruck. Diese Spuren und diejenigen, die sie hinterlassen, können nun mit minimalem Aufwand und zu minimalen Kosten von Algorithmen oder KI erfasst und analysiert werden.

Die Zahlen sprechen eine deutliche Sprache: 20 % der österreichischen Unternehmen nutzten KI im Jahr 2024 – ein Jahr zuvor waren es erst 11 %. Im HR-Bereich setzen bereits 70 % der Unternehmen mit mehr als 50 Mitarbeitern:Mitarbeiterinnen KI-Systeme ein, etwa für Personalbeschaffung, Aufgabenzuweisung oder administrative Routineaufgaben.2

Anders als bei der Auswertung bloßer Netz- oder Maschinendaten sind zahlreiche moderne Datenverarbeitungen auf die Auswertungen, Berechnung und Vorhersage von Parametern der Arbeitnehmer:innen – und damit auf Menschen – ausgerichtet. Das birgt erhebliche Risiken für Persönlichkeitsrechte, aber auch für Sicherheit und Gesundheit am Arbeitsplatz: Systeme, die permanenten Leistungsdruck erzeugen, Pausen wegoptimieren oder Beschäftigte zu Arbeitszeitüberschreitungen drängen, können zu Stress, Erschöpfung und Arbeitsunfällen führen.

Vor diesem Hintergrund stellt sich die Frage, welche rechtlichen Rahmenbedingungen für den Einsatz von Algorithmen und künstlicher Intelligenz gelten. Im Beschäftigungskontext greifen gleich mehrere Rechtsgebiete. Neben arbeitsrechtlichen und antidiskriminierungsrechtlichen Bestimmungen sind vor allem zwei europäische Regelwerke zentral: die neue Verordnung über künstliche Intelligenz (KI-VO) und die Datenschutz-Grundverordnung (DSGVO).

Die KI-VO
Die KI-Verordnung ist das weltweit erste umfassende Gesetz, das künstliche Intelligenz reguliert. Sie gilt in der gesamten EU unmittelbar – also auch in Österreich –, ohne dass sie in nationales Recht umgesetzt werden müsste.

Im Kern verfolgt die KI-Verordnung einen risikobasierten Ansatz: je gefährlicher ein KI-System, desto strenger die Regeln. Es gibt im Wesentlichen drei Kategorien: verbotene KI-Praktiken, Hochrisiko-KI-Systeme und sonstige Systeme mit geringem Risiko.

Was ist verboten?
Manche KI-Anwendungen sind so gefährlich für Grundrechte und Menschenwürde, dass die EU sie vollständig verboten hat. Für den Arbeitskontext sind vor allem folgende Verbote relevant:

• Manipulative Praktiken: Verboten sind KI-Systeme, die Menschen durch unterschwellige oder absichtlich manipulative oder täuschende Techniken zu Verhaltensänderungen verleiten, wenn dadurch erheblicher Schaden entsteht. So ergab beispielsweise eine Untersuchung der New York Times, dass Uber mithilfe von Gamification-Elementen, Grafiken und geringwertigen Sachprämien seine Fahrer:innen zu längerer und intensiverer Arbeit sowie zu Tätigkeiten in umsatzschwachen Zeiten und wenig attraktiven Einsatzgebieten veranlassen wollte. Verboten werden allerdings nur solche Praktiken, die zugleich mit einem erheblichen Schaden verbunden sind. Sogenannte „Nudging“-Maßnahmen, die dem Arbeitsschutz oder der betrieblichen Gesundheitsförderung dienen, begründen typischerweise keinen Schaden in diesem Sinne. Hingegen fallen KI-Systeme unter das Verbot, die durch manipulative Mechanismen Leistungsdruck erzeugen und dadurch etwa zu Verstößen gegen arbeitszeit- oder arbeitsschutzrechtliche Vorschriften führen. Darüber hinaus können auch nicht unerhebliche Einkommensverluste als Schaden qualifiziert werden.
• Ausnützen von Abhängigkeit: Ebenfalls verboten sind KI-Systeme, die gezielt die Schutzbedürftigkeit von Menschen ausnutzen, etwa deren Alter, Behinderung oder wirtschaftliche Abhängigkeit. Gerade im Arbeitsverhältnis, wo Beschäftigte strukturell von ihren Arbeitge­bern:Arbeitgeberinnen abhängig sind, ist dieser Tatbestand besonders relevant. So könnte etwa ein algorithmisches Vergütungssystem, das diese Abhängigkeit gezielt verstärkt und Handlungsspielräume faktisch einschränkt, gegen dieses Verbot verstoßen.
• Social Scoring im Betrieb: Verboten ist auch das sogenannte Social Scoring: KI-Systeme, die Personen auf Grundlage ihres sozialen Verhaltens oder bekannter, abgeleiteter oder vorhergesagter persönlicher Eigenschaften oder Persönlichkeitsmerkmale bewerten und dadurch ungerechtfertigt oder unverhältnismäßig benachteiligen. Das kann im Arbeitsverhältnis etwa dann der Fall sein, wenn ein System Bewerber:innen unter Heranziehung persönlicher Eigenschaften danach reiht, wie wahrscheinlich es ist, dass sie sich gegen eine Kündigung juristisch wehren oder einer Gewerkschaft beitreten wollen.
  Emotionserkennung am Arbeitsplatz: Besonders praxisrelevant: KI-Systeme zur Emotionserkennung am Arbeitsplatz sind grundsätzlich verboten, egal ob im Büro, im Homeoffice oder in anderen Arbeitskontexten. Davon ausgenommen sind aber Fälle, in denen die Verwendung des KI-Systems aus medizinischen Gründen oder Sicherheitsgründen eingeführt oder auf den Markt gebracht werden soll. Während also die Analyse des Aggressionsgrades im Callcenter untersagt ist, ist der Müdigkeitsdetektor im Dienstwagen nicht verboten.
  

Hochrisiko-KI: Wenn der Algorithmus über Jobs entscheidet
Neben den verbotenen Praktiken kennt die KI-Verordnung eine zweite wichtige Kategorie: Hochrisiko-KI-Systeme. Diese sind nicht verboten, unterliegen aber strengen Pflichten für herstellende Unternehmen und Betreiber:innen. Für Arbeitnehmer:innen ist entscheidend: Der gesamte Bereich der Beschäftigung und des Personalmanagements gilt grundsätzlich als Hochrisikobereich.

Als hochriskant gelten KI-Systeme, die im Bewerbungsprozess eingesetzt werden, etwa für das Schalten gezielter Stellenanzeigen, das Filtern von Bewerbungen oder die Bewertung von Kandidaten:Kandidatinnen. Auch automatisierte Background-Checks, bei denen KI frei verfügbare Informationen aus dem Internet (etwa Social-Media-Posts) erhebt und auswertet, fallen darunter. Ebenso hochriskant sind KI-Systeme, die Arbeitsbedingungen beeinflussen: Beförderungs- und Kündigungsentscheidungen, die Zuweisung von Aufgaben, die Überwachung sowie Bewertung von Leistung und Verhalten. Die Regelung ist bewusst weit gefasst: Es reicht bereits aus, dass das KI-System eine solche Entscheidung nur beeinflusst – es muss sie nicht selbst treffen.

Wird ein KI-System als hoch riskant eingestuft, treffen herstellende Unternehmen und Betreiber:innen umfangreiche Pflichten: die Pflicht zur menschlichen Aufsicht und zur Schulung des Aufsichtspersonals, Transparenzpflichten gegenüber Arbeitnehmern:Arbeitnehmerinnen und deren Vertretern:Vertreterinnen sowie die Pflicht zur Protokollierung der Systemnutzung. Darüber hinaus ist ein Risikomanagementsystem einzuführen, in dessen Rahmen die Sicherheit, die Gesundheit und die Grundrechte der betroffenen Personen erhoben und bewertet sowie anschließend risikominimierende Maßnahmen gesetzt werden müssen. Der Betrieb von Hochrisiko-KI-Systemen ist nur zulässig, wenn die verbleibenden Risiken vertretbar sind.

Datenschutz
Neben der KI-VO bietet die DSGVO einen wichtigen Schutz für Arbeitnehmer:innen. Entgegen einer verbreiteten Auffassung schützt das Datenschutzrecht nämlich nicht nur die Privatsphäre, sondern alle Grundrechte – und gerade im Arbeitsverhältnis kann eine ganze Reihe von Grundrechten betroffen sein: Ausgehend von der Würde des Menschen könnten neben der Achtung des Privat- und Familienlebens beispielsweise die Gedanken-, Gewissens- und Religionsfreiheit, das Recht auf Nichtdiskriminierung oder etwa das Grundrecht auf gerechte und angemessene Arbeitsbedingungen berührt werden.

Drei Beispiele verdeutlichen, wie weit der datenschutzrechtliche Schutz reicht: Programmiert ein Unternehmen seinen Algorithmus so, dass unrealistische Zeitvorgaben die Unfallgefahr für Beschäftigte nachweislich erhöhen, ist das nicht nur ein Arbeitsschutzproblem, es berührt auch das Datenschutzrecht, da dieses ausdrücklich auch die körperliche Unversehrtheit sowie das Recht auf gerechte und angemessene Arbeitsbedingungen umfasst. Benachteiligt ein Algorithmus Frauen systematisch und trifft er auf dieser Grundlage automatisch Entscheidungen – etwa über Beförderungen oder Schichtpläne –, verstößt das gegen das Diskriminierungsverbot und den Grundsatz der Gleichstellung. Und schließlich: KI-gestützte Überwachungs- oder Entscheidungssysteme, die übermäßigen Druck auf Arbeitnehmer:innen ausüben oder deren körperliche und psychische Gesundheit gefährden, sind ebenfalls datenschutzrechtlich angreifbar – denn auch der Schutz vor solchen Belastungen ist im Grundrechtskatalog verankert, auf den sich das Datenschutzrecht beruft.

Darüber hinaus enthält die DSGVO das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden. Eine vollautomatische Absage im Bewerbungsverfahren, eine algorithmisch generierte Kündigung oder eine KI-gesteuerte Gehaltskürzung ohne jegliche menschliche Überprüfung wären damit grundsätzlich unzulässig. Allerdings sieht die DSGVO hierfür Ausnahmebestimmungen vor – und auch die bis Dezember 2026 in nationales Recht umzusetzende Plattformarbeits-Richtlinie lässt unter bestimmten Voraussetzungen Abweichungen von diesem Verbot zu.

Vom Recht zur Praxis: Die Rolle von Sicherheitsfachkräften und Arbeitsmedizin
KI-Verordnung und DSGVO ergänzen einander: Während die DSGVO den Umgang des:der Arbeitgebers:Arbeitgeberin als datenschutzrechtlich Verantwortlicher:Verantwortliche regelt, setzt die KI-Verordnung an den Systemen selbst an und verlangt vom herstellenden Unternehmen, Risiken bereits bei der Entwicklung zu minimieren. Beide greifen bei nahezu jedem KI-Einsatz im Personalbereich gleichzeitig.

Allerdings formulieren KI-VO und DSGVO Schutzansprüche oft abstrakt – als Grundrechte, Risikoklassen oder Transparenzpflichten. In der betrieblichen Praxis müssen Menschen diese abstrakten Regeln „übersetzen“ und mit Leben füllen. Sicherheitsvertrauenspersonen und Arbeitsmediziner:innen sind dafür prädestiniert: Sie arbeiten täglich in den Betrieben, kennen die Abläufe und sind geschult darin, Risiken zu erkennen – ob Lärm, Staub oder eben psychische Belastung durch lückenlose Überwachung. Wer bemerkt, dass ein KI-gesteuertes System systematisch Pausen wegoptimiert, hohen Leistungsdruck erzeugt oder Beschäftigte zu Arbeitszeitüberschreitungen drängt, sollte das nicht nur als Arbeitsschutzproblem verstehen, sondern auch als möglichen Verstoß gegen KI-VO oder DSGVO. Dies hat freilich zur Konsequenz, dass auch die sehr hohen Strafen der DSGVO und KI-VO (EUR 20 Mio. bzw. EUR 35 Mio / 4 % bzw. 7 % des weltweiten Jahresumsatzes) drohen. Insofern können diese Instrumente einen zusätzlichen Hebel zur Sicherstellung des Arbeitnehmer:innenschutzes darstellen. Zudem können Beobachtungen und Erfahrungen von Sicherheitsvertrauenspersonen und Arbeitsmedizinern:-medizinerinnen in präventive Rechtsinstrumente einfließen – etwa in eine Datenschutzfolgenabschätzung oder Betriebsvereinbarung.

Fazit
Der Grundgedanke beider Verordnungen ist klar – und er ist alt: „Labour is not a commodity“. Der Mensch ist kein Produktionsfaktor, der sich beliebig optimieren lässt. Angesichts datengetriebener Steuerungs- und Bewertungssysteme erfährt dieser Gedanke neue Aktualität. Die KI-VO und die DSGVO können insofern als Versuch interpretiert werden, das Prinzip des menschengerechten Arbeitnehmer:innenschutzes in das KI-Zeitalter zu überführen – und den Vorrang menschlicher Würde und daraus abgeleitete Grundrechte auch unter den Bedingungen technischer Rationalisierung und Effizienzsteigerungen zu sichern. ●

Zusammenfassung:
KI-Systeme und digitale Überwachung sind im Betrieb längst Realität – und bergen Risiken für Gesundheit, Sicherheit und Grundrechte von Arbeitnehmern:Arbeitnehmerinnen. Die KI-VO und die DSGVO setzen dem Grenzen. Allerdings gilt es den abstrakten Rechtsschutz in den gelebten Arbeitsalltag zu übertragen. Sicherheitsvertrauenspersonen und Arbeitsmedizinern:-medizinerinnen kommt dabei eine wichtige Rolle zu.